RPC漏洞
详细描述: 最近发现部分RPC在使用TCP/IP协议处理信息交换时不正确的处理畸形的消息导致存在一个安全漏洞。该漏洞影响使用RPC的DCOM接口，这个接口用来处理由客户端机器发送给服务器的DCOM对象激活请求(如UNC路径)。如果攻击者成功利用了该漏洞将获得本地系统权限，他将可以在系统上运行任意命令，如安装程序、查看或更改、删除数据或者是建立系统管理员权限的帐户等。 已发现的一个攻击现象：
攻击者在用户注册表
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
下建立一个叫“msupdate”(估计有变化)的键，键值一般为msblast.exe ,
C:\windows\system32目录下会放置一个msblast.exe的木马程序。 另外受攻击者会出现
“Generic Host Process for Win32 Services 遇到问题需要关闭”
“Remote Rrocedure Call (RPC)服务意外终止，Windows必须立即重新启动”
等错误信息而重启。 建议到
http://www.microsoft.com/security/security_bulletins/ms03-026.asp
下载相应补丁。如果已受攻击，建议先拔掉网线，在任务管理器中结束msblast.exe进程，清除注册表中的相应条目，删除system32下的木马程序，最后打补丁。
|